در نخستین ساعت پس از یک حادثه سایبری، مدیر معمولاً کمتر از همه کسانی که از او پاسخ می‌خواهند، پاسخ قطعی دارد. تیم فنی هنوز دامنه نفوذ را بررسی می‌کند، مشتری از اختلال نگران است و خبرهای تأییدنشده در شبکه‌های اجتماعی می‌چرخند. در چنین لحظه‌ای، سکوت می‌تواند اعتماد را فرسوده کند و یک توضیح شتاب‌زده نیز ممکن است گمراه‌کننده باشد. کیفیت مدیریت بحران به توانایی گفتن حقیقتی بستگی دارد که هنوز کامل نشده است.
براساس توضیحات رئیس پلیس فتا، مهلت اطلاع‌رسانی اولیه با افزایش شدت حادثه کاهش می‌یابد: از حداکثر ۲۴ ساعت در سطح عادی تا یک ساعت در سطح بحرانی. در سطوح بالاتر، مدیرعامل، هیئت‌مدیره و نهادهای مسئول نیز وارد فرایند هماهنگی می‌شوند. اینها توضیحات یک مقام رسمی درباره چارچوب تدوین‌شده‌اند؛ برای داوری درباره تکالیف حقوقی کسب‌وکارها، همچنان باید متن کامل، دامنه شمول و شیوه اجرای آن روشن باشد.
نکته‌ای در همان گزارش وجود دارد که نباید زیر عنوان خبر گم شود: اطلاع‌رسانی در سطح عادی، عمدتاً داخلی و برای مستندسازی سازمانی تعریف شده است. بنابراین هر تلاش ناموفق برای نفوذ، لزوماً مستلزم صدور بیانیه عمومی نیست. گزارش به نهاد مسئول، هشدار به مشتری در معرض خطر و توضیح عمومی به جامعه، سه اقدام با مخاطبان و هدف‌های متفاوت‌اند. خلط آنها می‌تواند هم بار اداری بیهوده بسازد و هم هشدارهای مهم را میان انبوه اعلان‌های کم‌اهمیت پنهان کند.
اهمیت این بحث از جایگاه داده در اقتصاد دیجیتال می‌آید. مشتری هنگام خرید، پرداخت یا دریافت خدمت، بخشی از اطلاعات و اختیار خود را به بنگاه می‌سپارد. در مقابل، انتظار دارد اگر خطری متوجه پول، هویت یا اطلاعاتش شد، به‌موقع از آن مطلع شود. این انتظار، بخشی از رابطه اقتصادی میان طرفین است. مشتری بدون اطلاعات نمی‌تواند رمز خود را تغییر دهد، تراکنش مشکوک را پیگیری کند یا درباره ادامه استفاده از خدمت تصمیم بگیرد.
امنیت کامل وعده‌ای غیرواقعی است؛ پاسخ‌گویی قابل ارزیابی است. بنگاه مسئول باید بتواند نشان دهد برای پیشگیری چه کرده، چگونه حادثه را تشخیص داده و پس از کشف آن چه اقدامی انجام داده است. اگر صرف وقوع حمله، بدون توجه به رفتار بنگاه، به نشانه قطعی قصور تبدیل شود، انگیزه پنهان‌کاری افزایش می‌یابد. تنظیم‌گری مؤثر باید میان شرکتی که هشدارها را نادیده گرفته یا حادثه را پنهان کرده و شرکتی که صادقانه گزارش داده و برای محدودکردن خسارت اقدام کرده، تفاوت بگذارد.
از سوی دیگر، اعلام زودهنگام نباید به انتشار حدس‌های فنی تبدیل شود. در ساعت نخست، ممکن است روشن باشد که خدمت مختل شده، اما هنوز معلوم نباشد اطلاعات کاربران افشا شده است یا نه. مدیر می‌تواند همین مرز را توضیح دهد: چه چیزی تأیید شده، چه چیزی در حال بررسی است، مشتری فعلاً چه اقدامی انجام دهد و اطلاعیه بعدی چه زمانی منتشر خواهد شد. چنین پیامی، هم صادقانه است و هم کاربردی. اطمینان‌بخشی مطلق پیش از پایان بررسی، تعهدی می‌سازد که شاید چند ساعت بعد نقض شود.
مبدأ محاسبه زمان نیز اهمیت دارد. نفوذ ممکن است پیش از کشف رخ داده باشد؛ هشدار اولیه هم همیشه به معنای تأیید حادثه نیست. مقررات باید میان زمان وقوع، مشاهده نشانه و احراز معقول حادثه تمایز بگذارند. مهلتی که نقطه آغازش روشن نباشد، به اختلاف حقوقی تبدیل می‌شود. همچنین باید امکان اصلاح گزارش اولیه وجود داشته باشد؛ زیرا تکمیل اطلاعات، بخش طبیعی رسیدگی به حادثه است.
برای مدیران ایرانی، این چارچوب فرصتی است تا آمادگی سایبری را به دستور کار هیئت‌مدیره بیاورند. تصمیم درباره توقف خدمت، اطلاع‌دادن به مشتری و پذیرش مسئولیت، آثار تجاری و حقوقی دارد و نمی‌توان آن را به تیم فنی واگذار کرد و منتظر نتیجه ماند. مسئول پاسخ‌گویی باید از پیش مشخص باشد، اختیار تصمیم اضطراری داشته باشد و بتواند مدیران فنی، حقوقی و ارتباطات را در زمان کوتاه کنار هم قرار دهد.
در کوتاه‌مدت، هر کسب‌وکار باید یک برنامه ساده و آزموده‌شده برای واکنش تهیه کند: مسیر اعلام داخلی، جانشین مسئول بحران، کانال ارتباطی مستقل از زیرساخت آسیب‌دیده و قالب پیام اولیه. این برنامه باید با یک تمرین عملی بررسی شود. اگر سامانه اصلی از دسترس خارج شد، شرکت از کجا به مشتری خبر می‌دهد؟ اگر مدیرعامل پاسخ‌گو نبود، چه کسی اختیار انتشار پیام دارد؟ پاسخ این پرسش‌ها باید پیش از حادثه معلوم باشد.
پلیس فتا و سایر مراجع مسئول نیز باید در کوتاه‌مدت، تعریف سطوح حادثه، مخاطب هر گزارش و حداقل اطلاعات لازم را منتشر کنند.
کسب‌وکار باید بتواند یک گزارش واحد ارائه کند و دستگاه‌ها اطلاعات موردنیاز خود را از همان مسیر دریافت کنند. درخواست‌های موازی و ناسازگار، وقت محدود تیمی را مصرف می‌کند که باید مشغول مهار خسارت باشد.
در میان‌مدت، تشکل‌های صنفی، شرکت‌های امنیتی و بیمه‌گران می‌توانند الگوهای پاسخ متناسب با اندازه و ریسک بنگاه توسعه دهند. توان یک فروشگاه کوچک با یک سکوی مالی بزرگ برابر نیست؛ الزامات نیز باید این تفاوت را منعکس کنند. ممیزی مستقل، خدمات تخصصی واکنش به حادثه و بیمه مسئولیت می‌توانند بازار پاسخ‌گویی ایجاد کنند، به شرط آنکه قراردادها، استثناها و مسئولیت طرفین شفاف باشند.
در بلندمدت، حق کاربر برای آگاهی از رخدادهای مؤثر بر داده‌هایش باید روشن شود و مسیر اعتراض و جبران خسارت، قابل دسترسی باشد. انتشار ارزیابی پس از حادثه نیز باید به یادگیری عمومی کمک کند، بدون آنکه اطلاعات شخصی یا جزئیات قابل سوءاستفاده منتشر شود. موفقیت این نظام را می‌توان با زمان کشف، سرعت مهار، کیفیت هشدار و کاهش تکرار خطا سنجید؛ تعداد فرم‌های تکمیل‌شده معیار مناسبی برای امنیت نیست.
اقتصاد دیجیتال ایران برای رشد به اعتماد نیاز دارد؛ اعتمادی که در زمان اختلال، بیش از زمان عادی آزموده می‌شود. مشتری حق دارد بداند چه خطری متوجه اوست و بنگاه حق دارد در چارچوبی روشن، متناسب و قابل پیش‌بینی پاسخ بدهد. ساعت اول پس از حمله، زمان ادعای تسلط کامل نیست. زمان پذیرفتن مسئولیت، بیان دقیق دانسته‌ها و دادن امکان تصمیم به کسانی است که پیامد حادثه را تحمل می‌کنند.
